تطبيق معيار SLES 15 STIG بأمان باستخدام OpenSCAP

استخدم ملف تعريف DISA STIG المدعوم من SUSE لنظام SLES 15، وافحص الخادم باستخدام OpenSCAP، ولا تُجرِ أي إصلاحات إلا بعد مراجعة الوضع الأساسي على نظام اختبار. على سبيل المثال، تخيّل مسؤولًا افتراضيًا يُدعى أليكس يُجهّز خادم SLES 15 لخدمة خاضعة للتنظيم: يستخدم أليكس سير العمل الموضح أدناه لتحديد النتائج، واختبار التغييرات، وجمع الأدلة، ولكنه لا يعتبر الفحص التلقائي النظيف بمثابة موافقة على الامتثال.

تتبع هذه الأوامر إرشادات STIG الحالية من SUSE لنظام SLES 15. قد يتغير محتوى الملف التعريفي مع تحديثات الحزم وإصدارات معايير DISA، لذا يُرجى التحقق من الإصدار والمتطلبات الخاصة بالنظام قبل استخدام هذه الإجراءات. توضح صور الطرفية الأوامر ولا تُظهر مخرجات الفحص الحقيقية.

1. تأكيد الهدف والمعيار الحالي

ابدأ بتسجيل حزمة خدمة SLES الخاصة بالخادم المضيف، والغرض منه، ودوره في الشبكة، والتطبيقات المستخدمة. دوّن أليكس الخدمات التي يجب أن تظل متاحة، وكيفية اتصال المسؤولين، وطريقة الاسترداد في حال انقطاع الوصول نتيجةً لتغيير في إجراءات الأمان. هذا النطاق مهم: فقد يكون لخادم قاعدة البيانات وخادم الأغراض العامة استثناءات معتمدة مختلفة، حتى وإن كان كلاهما يستخدم نفس ملف تعريف STIG لنظام التشغيل.

تحقق من الإصدار المثبت قبل تحديد المحتوى:

cat /etc/os-release
hostnamectl

ثم احصل على قائمة التحقق الخاصة بمعيار SLES 15 STIG ومراجعة المعيار من خلال صفحة تنزيلات DISA STIG الرسمية . طابق قائمة التحقق مع عائلة النظام واتبع تعليمات التقييم الخاصة بمؤسستك. تدعم SUSE ملف تعريف SCAP الخاص بـ "DISA STIG for SUSE Linux Enterprise 15"، ولكن هذا وحده لا يحدد الإصدار الذي تتطلبه جهة الاعتماد الخاصة بك أو يُصدّق على المضيف.

2. قم بتثبيت محتوى SCAP والتحقق منه

على نظام SLES مسجل مع إمكانية الوصول إلى المستودعات المناسبة، قم بتثبيت أدوات سطر الأوامر OpenSCAP ومحتوى دليل أمان SCAP:

sudo zypper install openscap-utils scap-security-guide

أسماء الحزم وموقع تدفق البيانات لنظام SLES 15 المذكور أدناه موثقة في دليل تحصين OpenSCAP الخاص بشركة SUSE وإجراءات STIG الخاصة بها . قد تختلف مستودعات الحزم ومراجعات الملفات التعريفية باختلاف حزمة الخدمة ومستوى التحديث. يرجى سرد تدفقات البيانات المثبتة وفحص الملف المرشح بدلاً من افتراض اسم ملف أو ملف تعريف.

ls -1 /usr/share/xml/scap/ssg/content/ssg-*-ds.xml
oscap info /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

تأكد من وجود تدفق بيانات SLES 15 وأن قائمة الملفات التعريفية تتضمنه stig. إذا كان الملف أو الملف التعريفي مفقودًا، فتوقف وقم بحل مشكلة عدم تطابق الحزمة أو المستودع؛ لا تستخدم معيار أداء نظام تشغيل آخر.

3. تحديد خط الأساس، ثم اختبار المعالجة

أنشئ مجلدًا محميًا للأدلة قبل إعداد التقارير. قم بالمسح الضوئي أولًا، دون تغيير إعدادات النظام.

sudo install -d -m 0700 /root/stig-review
sudo oscap xccdf eval \
  --profile stig \
  --results /root/stig-review/baseline.xml \
  --report /root/stig-review/baseline.html \
  /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

افتح تقرير HTML وراجع كل نتيجة، وخاصة حالات الفشل والأخطاء والقواعد التي تعذر التحقق منها. احتفظ بملف XML والتقرير كدليل حساس على إعدادات النظام. قد يكشفان تفاصيل المضيف وحالة الأمان، لذا لا تخزنهما أو تنقلهما إلا عبر القنوات المعتمدة.

بعد ذلك، استنسخ الخادم أو أنشئ لقطة له في بيئة غير إنتاجية. تحقق من سلوك التطبيق، وصلاحيات الوصول، والشبكات، والمراقبة، والاسترداد قبل تطبيق التغييرات التلقائية. تحذر SUSE المسؤولين من ضرورة اختبار الإصلاح خارج بيئة الإنتاج أولاً لأنه يُغير تكوين النظام. على خادم الاختبار، الطريقة الموثقة للتنفيذ الفوري هي:

sudo oscap xccdf eval --remediate \
  --profile stig \
  --results /root/stig-review/remediation.xml \
  /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

قد تتضمن النتيجة المُولَّدة نتيجة اختبار قبل المعالجة ونتيجة اختبار بعد المعالجة. تشير القاعدة المميزة بعلامة fixedإلى تطبيق إصلاحها التلقائي واجتيازها للتقييم؛ بينما تشير القاعدة errorغير المميزة بعلامة أخرى إلى فشل المعالجة لتلك القاعدة. لا تُغني أيٌّ من هاتين الحالتين عن الاختبار التشغيلي أو مراجعة المتطلبات الأساسية.

4. إعادة المسح، وحل الاستثناءات، والاحتفاظ بالأدلة

بعد مراجعة سلوك الاختبار، قم بتشغيل فحص منفصل باستخدام مسارات إخراج جديدة. يساعد التقييم القائم على الفحص فقط في التمييز بين الحالة الحالية وعملية الإصلاح.

sudo oscap xccdf eval \
  --profile stig \
  --results /root/stig-review/final.xml \
  --report /root/stig-review/final.html \
  /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

لا تتوقع إمكانية إصلاح كل قاعدة تلقائيًا. تحقق من حالات الفشل بالرجوع إلى نص التحقق والإصلاح الكامل للقاعدة في نسخة قائمة التحقق الخاصة بوكالة نظم معلومات الدفاع (DISA) المختارة للنظام. تتطلب بعض القواعد قرارًا مدروسًا من مالك الخدمة، أو تكوينًا خاصًا بالموقع، أو دليلًا يدويًا. إذا كانت القاعدة غير قابلة للتطبيق أو لا يمكن الوفاء بها، فوثّق الأساس المنطقي والضوابط التعويضية من خلال عملية الاستثناء الرسمية للمؤسسة؛ إذ إن تغيير الملف التعريفي أو تعديله لا يضمن استيفاء المتطلبات تلقائيًا.

لمراجعة قائمة التحقق، توفر SUSE وثائق لتصدير ملف XCCDF يمكن استيراده إلى برنامج DISA STIG Viewer. قم بإنشائه باستخدام الخيار المدعوم، ثم استورده إلى البرنامج وفقًا لتعليمات المستخدم الحالية.

sudo oscap xccdf eval \
  --profile stig \
  --stig-viewer /root/stig-review/results_stig.xml \
  /usr/share/xml/scap/ssg/content/ssg-sle15-ds.xml

تتضمن حزمة الأدلة الخاصة بأليكس للخادم الوهمي بيانات المضيف وهوية حزمة الخدمة، ومراجعة المعيار، وإصدار محتوى SCAP، وتاريخ الفحص، والتقارير الأساسية والنهائية، وإجراءات المعالجة، والفحوصات اليدوية، والاستثناءات المعتمدة. تأكد من وجود الملفات وأنها لا تزال قابلة للقراءة إلا من قبل المراجعين المصرح لهم.

sudo ls -l /root/stig-review

قبل إعلان اكتمال المهمة، تأكد من أن التقرير النهائي يعكس فحصًا أُجري بعد التغييرات، وأن لكل نتيجة متبقية مسؤولًا وقرارًا بشأنها، وأن الخدمات المطلوبة للخادم لا تزال تعمل. يُعدّ الامتثال لمعايير STIG حالةً مُقَيَّمة مرتبطة بمعيار محدد ونطاق نظام؛ يدعم OpenSCAP هذا التقييم، ولكنه لا يمنح الاعتماد أو يضمن استيفاء جميع متطلبات الموقع.

المصادر

• SUSE: تعزيز أمان نظام SUSE Linux Enterprise باستخدام معايير STIG
• SUSE: تقوية نظام SLES باستخدام OpenSCAP
• تنزيلات DISA: STIG